Pour respecter la Loi 25, votre site Web doit au minimum afficher une politique de confidentialité rédigée en termes simples et clairs, indiquer le titre et les coordonnées de la personne responsable de la protection des renseignements personnels, et obtenir un consentement valable avant de recueillir ou d’utiliser certaines données, notamment au moyen de témoins (cookies). Ces obligations visent toutes les entreprises et tous les OBNL qui recueillent des renseignements personnels au Québec, peu importe leur taille.
La bonne nouvelle : pour la plupart des sites de PME, la mise en conformité est tout à fait réalisable. Voici, point par point, ce que votre site doit contenir et ce qu’il faut vérifier.
Cet article est offert à titre informatif et ne constitue pas un avis juridique. Pour une analyse adaptée à votre situation, consultez un avocat ou un professionnel en protection des renseignements personnels.
La Loi 25 en bref : qui est visé par ces règles?
La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) a modifié en profondeur la loi québécoise qui encadre le secteur privé. Ses obligations sont entrées en vigueur par étapes, en septembre 2022, 2023 et 2024.
Elle s’applique à toute organisation qui recueille, utilise ou conserve des renseignements personnels : un nom, une adresse courriel, un numéro de téléphone, une adresse IP ou des données de navigation qui permettent d’identifier quelqu’un. Autrement dit, dès que votre site comporte un formulaire de contact, une infolettre ou un outil de statistiques, vous êtes concerné.
Ce que votre site Web doit contenir pour être conforme à la Loi 25
1. Une politique de confidentialité claire et accessible
Depuis septembre 2023, une entreprise qui recueille des renseignements personnels par un moyen technologique doit publier sur son site une politique de confidentialité rédigée en termes simples et clairs. Elle doit aussi faire connaître toute modification à cette politique.
Le lien vers la politique devrait être facile à trouver, par exemple dans le pied de page de chaque page. Une politique copiée d’un autre site ou rédigée en jargon juridique incompréhensible ne répond pas à l’esprit de la loi.
2. Le titre et les coordonnées du responsable
Chaque entreprise a une personne responsable de la protection des renseignements personnels. Par défaut, c’est la personne ayant la plus haute autorité (souvent le propriétaire ou le directeur général), mais cette fonction peut être déléguée par écrit.
Le titre et les coordonnées de cette personne doivent être publiés sur votre site Web. Une adresse courriel dédiée, comme confidentialite@votreentreprise.ca, est une solution pratique qui survit aux changements de personnel.
3. Un consentement valable pour les formulaires
Le consentement doit être manifeste, libre, éclairé et donné à des fins précises. Concrètement, pour vos formulaires :
- indiquez pourquoi vous recueillez les renseignements demandés (répondre à une demande, envoyer une soumission, etc.);
- ne demandez que les renseignements nécessaires;
- demandez un consentement distinct pour l’infolettre, avec une case à cocher qui n’est pas précochée;
- ajoutez un lien vers votre politique de confidentialité près du bouton d’envoi.
4. Une gestion transparente des témoins (cookies)
La loi exige d’informer les personnes, avant la collecte, de l’utilisation de technologies qui permettent de les identifier, de les localiser ou d’effectuer un profilage, ainsi que des moyens offerts pour activer ces fonctions. En pratique, cela vise notamment les outils de statistiques et les pixels publicitaires (Google Analytics, pixel Meta, etc.).
La pratique prudente consiste à installer une bannière de gestion des témoins qui :
- explique clairement quels types de témoins sont utilisés et pourquoi;
- laisse fonctionner seulement les témoins essentiels au départ;
- permet d’accepter ou de refuser les autres catégories aussi facilement l’une que l’autre;
- permet de modifier son choix plus tard.
Que doit contenir votre politique de confidentialité?
La Commission d’accès à l’information du Québec (CAI) publie un guide pour aider les entreprises à rédiger leur politique. Sans s’y limiter, une bonne politique explique notamment :
- quels renseignements personnels vous recueillez et par quels moyens (formulaires, témoins, courriel);
- à quelles fins vous les utilisez;
- qui peut y avoir accès, y compris vos fournisseurs (hébergeur, outil d’infolettre, CRM);
- si des renseignements sont communiqués ou conservés à l’extérieur du Québec;
- combien de temps vous les conservez et comment vous les protégez;
- les droits des personnes (accès, rectification, retrait du consentement) et comment les exercer;
- comment joindre la personne responsable et comment porter plainte.
Pour aller plus loin, consultez les ressources de la Commission d’accès à l’information du Québec, qui est l’organisme chargé de surveiller l’application de la loi.
Au-delà du site : les obligations qui touchent vos outils Web
Votre site ne fonctionne pas en vase clos. Plusieurs outils qui y sont reliés manipulent des renseignements personnels, et la loi vous en rend responsable.
- Vos fournisseurs : hébergeur, plateforme d’infolettre, outil de prise de rendez-vous. Si des données sont hébergées à l’extérieur du Québec, la loi prévoit une évaluation préalable des facteurs relatifs à la vie privée.
- La sécurité : un certificat SSL (le petit cadenas dans le navigateur), des mises à jour régulières et des sauvegardes réduisent les risques de fuite de données.
- Les incidents de confidentialité : en cas de fuite présentant un risque de préjudice sérieux, vous devez aviser la CAI et les personnes concernées, et tenir un registre des incidents.
- La conservation : supprimez régulièrement les soumissions de formulaires dont vous n’avez plus besoin.
Un site bien entretenu, sur un hébergement Web sécurisé et mis à jour, facilite grandement le respect de ces obligations.
Que risque une entreprise dont le site n’est pas conforme?
La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial, selon le montant le plus élevé. Des amendes pénales encore plus importantes sont prévues pour les infractions graves.
Ces montants maximaux visent surtout les cas sérieux. Pour une PME, le risque le plus concret est souvent ailleurs : une plainte d’un client, une perte de confiance ou une fuite de données mal gérée. Se conformer, c’est aussi montrer à vos clients que vous prenez leurs renseignements au sérieux.
Questions fréquentes
La Loi 25 s’applique-t-elle aux petites entreprises et aux OBNL?
Oui. La loi ne prévoit pas d’exemption selon la taille de l’organisation. Un travailleur autonome ou un petit OBNL qui recueille des renseignements personnels doit aussi s’y conformer, en adaptant les mesures à son contexte.
Mon site n’a qu’un formulaire de contact. Dois-je quand même avoir une politique de confidentialité?
Oui. Un formulaire recueille au minimum un nom et une adresse courriel, ce qui constitue des renseignements personnels recueillis par un moyen technologique. Une politique de confidentialité simple et claire est donc requise.
Une bannière de témoins trouvée gratuitement suffit-elle?
Pas nécessairement. L’outil doit réellement bloquer les témoins non essentiels tant que la personne n’a pas fait son choix, ce qui demande une configuration adaptée à votre site. Une bannière qui s’affiche sans rien bloquer donne un faux sentiment de conformité.
Est-ce que mon agence Web peut rédiger ma politique de confidentialité?
Une agence peut vous aider à inventorier les données recueillies par votre site et à mettre en place les outils techniques. Pour le contenu juridique de la politique, il est recommandé de vous appuyer sur le guide de la CAI ou de consulter un professionnel.
Besoin d’aide pour rendre votre site conforme à la Loi 25?
La conformité à la Loi 25 passe par des éléments très concrets sur votre site : politique accessible, coordonnées du responsable, formulaires bien conçus et témoins correctement gérés. Notre équipe peut vérifier votre site actuel, configurer les outils nécessaires ou intégrer ces exigences dès la conception de votre site Web. Prenez rendez-vous pour une rencontre gratuite et faisons le point ensemble.
Agence Gestion Lab accompagne les PME et les OBNL du Québec depuis 2018 : sites WordPress, référencement, Google Ads, réseaux sociaux et implantation de l’IA. Une rencontre gratuite pour analyser vos besoins, sans engagement.